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Cet imprime est a remplir lisiblement a I'encre noire 



N° 11354*01 



Q NOM ET ADRESSE DU DEMANDEUR OU DU MANDATAIRE 
A QUI LA CORRESPONDANCE DOIT ETRE ADRESSfe 

CABINET BALLOT 
9 rue Claude Chappe 
Technopole Metz 2000 
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Confirmation d'tin depot par telecopie Q N ° attribue par riNPI a la telecopie 



NATURE DE LA DEMA1MDE 



Demande de brevet 



Demande de certificat d'utilite 



Demande divisionnaire 

Detnande de brevet initiate 
ou demande de certificat d'uffiiti initiate 



Transformation d'une demande de 
brevet europeen Detnande de brevet initiate 



Cochez I'tine des 4 cases suivantes 



0, 
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N° 



Date 



o 
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Date I 



| H DECLARATION DE PRIOR1TE 
OU REQUITE DU BENEFICE DE 
LA DATE DE D£pdT D'UNE 
DEMANDE ANTERIEURE FRAN^AISE 



DEMANDEUR 
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Forme Juridique 



N° SIREN 



Code APE-NAF 



Adresse 



Rue 



Code postal et ville 



Pays 



Nationalitc 



N° de telephone (facultotij) 



N° do telecopie (facultatifj 



Adresse electronique (faadtalif) 
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Date I / / 
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Date 1 / / 



Pays ou organisation 
Date 1 / / 
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□ S'il y a d'autres demandeurs, cochez la case et utilisez I'imprime «Suite» 
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Societe Anonyme 
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N° 11354"01 



requete EN DEUVRANCE 1/2 
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ueu 54 IN PI NANCY 
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Cet imprime est a remplir Ksiblement a Tencre noire 



DBS40W/260899 



Q NOM ET ADRESSE DU DEMANDEUR OU DU MANDATAIRE 
A QUI LA CORRESPONDANCE DOIT EIRE ADRESSEE 

*_CABINET BALLOT 
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020947S 
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Confirmation d'un depot par telecopie I I N° attribue par 1'INPI a la telecopie 



O NATURE DE LA DEMAND E 



Demande de brevet 



Cochez Tune des 4 cases suivantes 



Demande de certificat d'utilite 



Demande dMsionnaire 

Demande de brevet initiate 
ou demande de certificat d^utiliti initiate 



□ 

N° 
N° 



Date L 
Date L 



Transformation d'une demande de 

brevet europeen Demande de br&^iniHale^ 



□ 



Date 



1 L 



| TITRE DE ^INVENTION (200 caracteres ou ©spaces mawnjuni) 

Precede de chiffrement de donnees, systeme cryptographique et composant associes. 



DECLARATION DE PRIOR1TE 
OU REQUITE DU BENEFICE DE 
LA DATE DE DEPOT D'UME 
DEMANDE ANT^RIEURE FRAE3QA1SE 



Pays ou organisation 
Date 1 L I— 



Pays ou organisation 
Date 1 L Z_ 



Pays ou organisation 
Date 1 / / 



J 



N° 



N° 



I | S'il y a d'autres priorttes, cochez la case et utilises I'imprime «Suite» 



DEMANDEUR 



I | S'il y a d'autres demandeurs, cochez la case et utilises Pimprime «Suite» 



Norn ou denomination sociale 



GEMPLUS 



Prenoms 



Forme juridique 



Societe Anonyme 



N° SIREN 



Code APE-NAF 



Adresse 



Rue 



Avenue du Pic de Bertagne 
Pare d'Activites de GEMENOS 



Code postal et ville 



13420 | GEMENOS 



Pays 



FRANCE 



Nationality 



Francaise 



N° de telephone (facultatif) 



N° de telecopie (facultatif) 



Adresse electronique (facultatif) 



1 W WW/ I £_/ \JC- 
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CEEOTFOCAT OWHILOTE 
REQU&TE EN D&JVRANCE 2/2 



REMISE 
DATE 



j R6serv6 & I1NPI ) 
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lieu 54 INPI NANCY 

N° D'ENREGISTREMENT 02 094 75 

NATIONAL ATTRIBUE PAR L'lNPI 



Vos references pour ce dossier : 

(facultatif) 




016596 
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M MANDATAIRE 
Nom 



Prenom 



LECLAIRE 



Cabinet ou Societe 



Jean-Louis 



CABINET BALLOT 



N °de pouvoir permanent et/ou 
de lien contractuel 



Adresse 



Rue 



9 rue Claude Chappe - Technopdle Metz 2000 



Code postal et ville 



57070 



(METZ 



N° de telephone (facxdtatif) 



N° de telecbpte (facultatif) 



03 87 74 81 36 



Adresse electronique (facultatif) 



03 87 36 26 76 



El 1NVEWTEUR (S) 



Les inventeurs sont les demandeurs 



Oui 
Non 



Dans ce cas foumir une designation d'inventeur(s) separee 



RAPPORT DE RECHERCHE 



Etablissement immediat 
ou etablissement differe 



Unlquement pour une demande d e brevet (y compris division et transformation) 

m " — — 

□ 



Paiement echelonne de la redevance 



Paiement en trois versements, uniquement pour les personnes physiques 
□Oul 
(ZlNon 



I M REDUCTJON DU TAUX 
DES RED EVAN CES 



Uniquement pour les personnes physiques ■ 

□Requise pour la premiere fois pour cette invention (joindreunavk de non-imposition) 
LjRequlse anterieurement a ce depot Qoindre une copie de la decision ^admission 
pour cette invention on indiqttersa reference ): 



Si vous avez utilise Pimprime «Suite», 
jndiquez le nombre de pages jointes 



03 SIGNATURE DU DERflANDEUR 
OU DU KWANDATAIRE 
(Nom et qualite du signataire) 
LECLAIRE Jean-Louis 93.4009 




E^Xn^ ™ ■ «*« * aux .Ibertes s'appli q ue aux reponses faites a ce formula.*. 
cu« e dranm un aroit a acces et de rectification pour les donnees vous concernant aupres de I'INPL 




BREVETO1NVENTION 
CERTflFBCAT DWILBTE 



3IH»T1TUf 
HATIOItAL Dff 

IHDUDTRICLIE 



REMISE DES PIECES B „ , 
DATE 26 JUIL 2002 

ueu 54 INPi NANCY 



Rgserv6 h HNPlV 



N° D'ENREGISTREMENT 
NATIONAL ATTWBUfc PAR L'INPI 



020947S 



Vos references pour ce dossier ; 

(facultatij) 



HO R/1ANDATA1RE 



OB540W/260899 ■ 



016596 



Norn 



LECLAIRE 



Prenom 



Jean-Louis 



Cabinet ou Societe 



CABINET BALLOT 



N °de pouvoir permanent et/ou 
de lien contractuet 



Adresse 



Rue 



9 rue Claude Chappe - Tecbnopdle Metz 2000 



Code postal et viile 



57070 



\ METZ 



N° de telephone (faadtatif) 



03 87 74 81 36 



N° de telecopie (facultatif) 



03 87 36 26 76 



Adresse electronique (facultatif) 



I Q 1NVEOTEUR (S) 



Les inventeurs sont !es demandeurs 



□Qui 

ITjNon Dans ce cas foumir une designation d'inventeur(s) separee 



M RAPPORT DE RECHERCHE 



Uniquement pour une demands de brevet (y compris division et transformation) 



Etablissement immediat 
ou etablissement differe 



□ 



Paiement echelonne de la redevance 



Paiement en trois versements, uniquement pour les personnes physiques 
□Oui 



REDUCTION DU TAUX 
DES REDEVANCES 



Uniquement pour les personnes physiques 

dRequise pour la premiere fois pour cette invention (joindreun avis de non-imposition) 

ClRequise anterieurement a ce depot (joindre une copie de la decisio?i d f admission 
pour cette invention ou indiquersa r&fe'rence): 




Si vous avez utilise 1'imprime «Suite» f 
indiquez Ie nombre de pages jointes 



gg] SIGNATURE DU DEMAWDEUR 
OU DU W1ANDATAIRE 
(Worn et qualite du signataire) 
LECLAIRE Jean-Louis 93.4009, 




La loi n°78-17 du 6 Janvier 1978 relative a Tinformatique, aux fichiers et aux liberies s'applique aux reponses faites a ce formulaire. 
Elle garantit un droit d'acces et de rectification pour les donnees vous concernant aupres de I'lNPI. 



9 # 



PROCEbE bE CHI IFFREMENT bE bONINEES. SYSTEME 
CRYPTOGRAPH IQUE ET COMP OSAWT ASSO/rTF* 

Li ' invention concerne un procede de chiffrement, et 
un systeme cryptographique associe, avec application 
notamment dans le domaine de la cryptographie a cle 
publique. L' invention pent etre mise en ceuvre dans des 
dispositifs electronigues tels que des cartes a puce. 

Un systeme cryptographique a cle publique complet 
comprend generalement un algorithme de chiffrement et un 
algorithme de signature. Un tel systeme cryptographique 
peut etre mis en oeuvre par exemple dans une carte a puce 
comprenant notamment, dans un circuit integre, des ihoyens 
de calcul programmes pour mettre en ceuvre' les 
algorithmes, et des moyens de memorisation, pour 
memoriser des cles publiques et / ou des cles secretes 
necessaires a la mise en ceuvre des algorithmes. 

Un algorithme connu et utilise dans les systemes 
cryptographiques a cle publigue est 1' algorithme RSA (de 
Rivest, Shamir et Adleman) . il peut etre utilise^ pour 
realiser des operations de chiffrement et des operations 
de signature. De maniere general, 1' algorithme RSA 
consiste a realiser une operation d ' exponentiation, a 
1'aide d'une cle publique ou privee, d'un message clair 
formate par une fonction de formatage pour le chiffrement 
ou une fonction de formatage pour la signature, selon le 
cas . 

Un procede de chiffrement utilisant 1' algorithme 
RSA consiste ainsi a forraater un message clair m par une 
fonction ii de formatage pour le chiffrement, puis a 
realiser une exponentiation du resultat selon la 
relation : 

c = f(n(m)) = [n(m)] e mod N 
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ou \i est une fonction de formatage pour le 
chiffrement, (N, e) une cle publique, et f (x, N, e> la 
fonction d- exponentiation f (x, N, e) = x e mod N. 

Le message chiffre c peut ensuite etre dechiffre en 

utilisant a nouveau r *-a±gOTitftme—RS^ 

inverse f" l (x, N, d) , (N, d) etant une cle privee associee 
a la cle publique (N, e) . 

Un procede de signature utilisant 1 « algorithme RSA 
consiste maniere similaire a formater un message clair m 
par une fonction H' de formatage pour la signature, puis 
a realiser une exponentiation du resultat selon la 
relation : 

s = f^tU'tm)] = (m)] a ' mod N' 

ou |X' est une fonction de formatage pour la 
signature, (N* , d' ) une cle privee, et f'Mx, N- , d- ) la 
fonction d' exponentiation f^x, N 1 , d' ) = x a ' mod N' 

La signature peut ensuite etre verifiee en 
utilisant a nouveau 1' algorithme RSA, avec la fonction 
inverse f(x, N' , e'), (N- , e') etant une cle publigue 
associee a la cle privee (N 1 , d'). 

Les fonctions d' exponentiation et les fonctions de 
formatage (pour le chiffrement ou la signature) utilisees 
dans les systemes cryptographigues sont en general 
connues. La securite des systemes de cryptage depend done 
unicruement des cles privees et publigues utilisees. La 
cle privee doit etre maintenue secrete. 

La securite depend ainsi notamment de la taille des 
cles, qui sont choisies de grande taille. Les nombres N, 
N« sont generalement de grande taille, par exemple 1024 
bits, ils sont egaux au produit de deux nombres premiers 
N = p*q, N ' = p'*q' . Les nombres d, d' entiers dependent 
des nombres N, N ' et sont egalement de grande taille. Les 
nombres e, e' entiers sont par contre souvent de petite 
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taille. 

pour des raisons de securite, les cles UN, e) 
(N, d)) utilisees pour le chiffrement et les cles ( (N 1 
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e ') W'. d')) utilisees pour la signature sont 

dif f erentes . 

Une fonction ill 1 de formatage pour la signature est 
dite sure s ' il n'est pas possible de creer une signature 
s d'un message m sans connaitre la cle privee, rneme si un 
attaquant peut obtenir la signature d'autres messages de 
son choix. Les fonctions p. 1 utilisees dans les systemes 
crypt ographiques sont construites pour verifier cette 
condition. 

Une fonction jx' connue et sure pour des operations 
de signature est la fonction PSS (Probabilistic Signature 
Scheme, en francais fonction probabiliste de signature) , 
decrite notamment dans le document Dl (M. Bellare and P. 
Rogaway, The exact security of digital signatures- How, to 
sign with RSA and Rabin, Proceedings of Eurocrypt ' .96, 
LNCS vil 1070, Springer-Verlag, 1996, pp 399-416) et dans 
le standard PKCS#1 v2.1, RSA Cryptography Standard. 

La fonction PSS est parametree par des entiers k, 
k0, kl et utilise deux fonctions de hachage : 
20 H : {0, I}*-* 1 -> {0, l} kl 

G : {0, l} kl — {0, l} k " kl 
A partir d'un texte clair m de k - kO - kl bits et 
d'un nombre r aleatoire de kO bits, la fonction PSS 
produit : 

PSS (m, r) = co | | s 
avec r un parametre aleatoire associe a la fonction 
PSS, || la fonction de concatenation, CO = H(m || r) , 
s = G(co) $ (n || r), eteia fonction logique XOR. 

La signature s du message m est ensuite obtenue par 
exponentiation a l'aide de la cle secrete (N, d) : 
s = f ( [PSS(m, r) ] , N, d) 
= [PSS(m, r) ] d mod N 
Une signature s peut etre verifiee en calculant : 
f ^ (s ) = s e mod N = co || s 

35 oCl f_1 est la fonction inverse de la fonction 

d' exponentiation f. 
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Connaissant la taille de co et s (respectivement kl 
bits et k-kl bits), on deduit to et s de f^s) . On calcule 
ensuite G(co) © s a partir de to, s et G. Comme 
G(ffl) e s = M I I r, on en deduit finalement H<m | | r) et 

1 m . Enfin, on compare U) eL a -dnr+H r-)^Si-— H4gH-|-r4-^to,— 

alors le texte clair m est renvoye, sinon seul un message 
d'erreur est renvoye\ 

De maniere similaire, une fonction {i de formatage 
10 pour le chiffrement est dite sure s ' il n'est pas 
possible, etant domes deux messages clairs ml, m2 , de 
determiner si un message chiffre c est le resultat du 
chiffrement du message ml ou bien du message m2 . Cela 
doit rester impossible meme si 1 ' attaquant peut obtenir 
15 le dechiffrement de n'importe quel message chiffre C 
different de c. Les fonctions |i utilisees dans les 
systemes cryptographiques sont construites pour verifier 
cette condition de security. 
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Cependant, parce gue les criteres de securite ne 
sont pas les m&nes pour des operations de signature et 
des operations de chiffrement, les fonctions u' de 
formatage pour la signature et les fonctions [I de 
formatage pour le chiffrement ne sont pas les memes . 
25 En consequence, pour implementer un systeme 

cryptographigue complet, apte a chiffrer et dechiffrer, 
il est necessaire de disposer de moyens pour memoriser 
deux fonctions differentes, plus g^neralement deux 
algorithmes differents, et de disposer de moyens de 
calcul programmes differents pour les mettre en ceuvre. La 
taille du circuit electronique resultant est bien 
evidemment proportionnelle a la taille des algorithmes a 
memoriser . 
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Pour resoudre le probleme evoque ci-dessus, selon 
1- invention, on utilise une m&ne fonction de formatage, a 
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la fois comme fonction de formatage pour le chif f rement 
et comme fonction de formatage pour la signature. Plus 
precisement, selon 1' invention, pour mettre en oeuvre un 
procede de chif f rement, on utilise la fonction PSS, 
connue par ailleurs pour mettre oeuvre un procede de 
signature. 

Ainsi, 1' invention concerne un procede de 
chif f rement, comprenant une etape de formatage d'un 
message clair par une fonction de formatage, et une etape 
d' exponentiation du resultat de 1 • etape precedente a 
l'aide d'une cle publique selon la relation 
c = ji(m) e mod N, c etant un message chif f re, |j.(m) etant le 
resultat de 1 • etape de formatage, et e et N des elements 
de la cl6 publique. 

Selon 1' invention, la fonction de formatage est la 
fonction PSS . 

La fonction PSS est une fonction sure pour des 
operations de chif f rement. En effet, on peut montrer que 
la fonction PSS est sure pour des operations de 
chiffrement, dans le modele oracle aleatoire, tel que 
defini dans D2 : M. Bellare and P. Rogaway, Random 
oracles are practical : a paradigm for designing 
efficient protocols. Proceedings of the First Annual 
Conference on Computer Communication Security, ACM, 1993. 
25 Par ailleurs, actuellement dans le domaine de la 
cryptographie, la notion de securite dans le modele 
oracle aleatoire est la notion de securite la plus forte 
pour des applications reelles. 

Ainsi, selon 1' invention, on dispose d'une fonction 
sure a la fois pour des operations de signature et des 
operations de chiffrement. 

L' invention concerne egalement un systeme de 
cryptographie comprenant un procede de chiffrement et un 
procede de signature, tous deux utilisant la fonction PSS 
35 comme fonction de formatage. 
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6 

Plus precisement, le systdme cryptographique 
comprend : 

- une etape de formatage d'un message clair par la 
fonction probabilistique de signature PSS, puis : 

1 - si un chiffrement du message claix est stmh^bte-? — 

une etape d' exponentiation du resultat de 1 ' etape de 
formatage a 1 1 aide d'une premiere cle selon la relation 
c = fi(m) e mod N, c etant un message chiffre, \i{m) £tant le 
resultat de 1 ■ £tape de formatage, et e et N des elements 

10 de la premiere cle, ou 

- si une signature du message clair est souhaitee, 
une etape d 1 exponentiation du resultat de 1 1 etape de 
formatage a 1 1 aide d'une deuxieme cle (N ? , d' ) selon la 
relation s = M^m) 5 ' mod N 1 , s etant un message signed Ji(m) 

15 etant le resultat de 1 • £tape de formatage, et d' et N 1 
des elements de la deuxieme cle. 

Un tel systeme cryptographique est avantageux par 
rapport aux systemes cryptographiques connus, dans la 
mesure ou il necessite environ deux fois moins de moyens 
20 (en termes de moyens de calcul programmes et de place 
memoire notamment) pour etre mis en ceuvre. 

Selon \xn mode de realisation, la premiere cle et la 
deuxieme cle sont respectivement une cle publique d'une 
premiere paire de cles et une cle privee d'une deuxieme 
25 paire de cles. 

Selon un autre mode de realisation, prefere, la 
premiere paire de cle et la deuxieme paire de cles sont 
identiques. En d'autres termes, le m£me jeu de cles est 
utilise, a la fois pour mettre en ceuvre le procede de 
30 chiffrement et le procede de signature. On montre en 
effet que dechiffrer un message, chiffre selon un procede 
de chiffrement utilisant la fonction PSS et un jeu de 
cles donn£, ne permet pas d'obtenir une information 
suffisante pour signer un message (eventuellement le 
35 message dechiffre) selon un procede de signature 
utilisant la fonction PSS et le meme jeu de cles. De 



maniere symetrique, on montre qu'obtenir une information 
sur la signature d'un message signe, selon un procede de 
signature utilisant la fonction PSS et un jeu de cles 
donne, ne permet pas d'obtenir une information sur un 
5 message clair chiffre selon un procede de chiffrement 
utilisant la meme fonction PSS et le meme jeu de cl6s . 

L' invention est notamment applicable a l'algorithme 
de cryptographie RSA, qui est 1 • algorithme le plus 
utilise a ce jour dans le domaine de la cryptographie. 
10 L ' invention concerne egalement un coraposant 

elect ronique comprenant des moyens programmes pour la 
mise en ceuvre d'un procede de chiffrement tel que decrit 
ci-dessus, utilisant la fonction PSS comme fonction de 
formatage. Les moyens programmes comprennent notamment 
15 tine unite centrale et une memoire de programme. : v 

L 1 invention concerne encore un composant 
electronigue comprenant des moyens programmes pour la 
mise en ceuvre d'un systeme cryptographique tel que. decrit 
ci-dessus, comprenant une operation de chiffrement ou une 
operation de signature, executees alternativement V Les 
moyens programmes comprennent notamment une .-unite 
centrale et une memoire de programme. 

L ' invention est notamment interessante pour des 
applications de type carte a puce, dans lesquels les 
composants utilises doivent etre de taille la plus petite 
possible, et la mise en ceuvre des precedes la plus rapide 
possible. 



20 



I ^ I \j ^ W ^ ' / .. t .. y^^ j g f _ \ 



10 



REVENDICATTONS 

1. Procede de chiffrement, coiuprenant une etape de 
fu.tmaLcty e — d^u-n — message — s-l-a-i-r — (jo) — par — une — fonction — de_ 
formatage (p.), et une etape d' exponentiation du resultat 
de 1' etape precedente a l'aide d'une cle publique (N, e) 
selon la relation c = fl(m) e mod N, c etant un message 
chiffre, |a.(m) etant le resultat de 1 ' etape de formatage, 
et e et N des elements de la cle publique, 

le procede etant caracterise en ce que la fonction 
de formatage (u) est la fonction PSS. 



2. Procede selon la revendication 1, caracterise en 
ce que la fonction de formatage \x est definie par 

|X(ra) = PSS(m) = G> | | s, avec : 
m, le texte clair de k - k0 - kl bits, r un 
15 parametre aleatoire de kO bits, k, kO, kl etant des 
parametres de la fonction de formatage, 

| | , une fonction de concatenation 
G> = H<m | | r) 
s = G(co) e (m || r) , 
20 © une fonction logique XOR, et 

H, G deux fonctions de hachage 



3. utilisation d'une fonction probabilistique de 
signature (PSS) definie selon le standard PKCS#1 v2.1, 

25 RSA Cryptography Standard comme fonction de formatage 
(u) , pour realiser un procede de cbif f rement comprenant 
une etape de formatage d'un message clair (m) par la 
fonction de formatage {]X) , et une etape d' exponentiation 
du resultat de 1 ' etape precedente a l'aide d'une cle 

30 publique (N, e) selon la relation c = M-(m) e mod N, c etant 
un message chiffre, ^i(m) etant le resultat de 1 ' etape de 
formatage, et e et N des elements de la cle publique. 
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4. Systeme cryptographique, comprenant : 

- une etape de formatage d'un message clair (m) par 
la fonction probabilistique de signature (PSS) , puis : 

si un chiffrement du message clair (m) est 
5 souhaite, une etape d' exponentiation du resultat de 
1" etape de formatage a l'aide d'une premiere cle {N, e) 
selon la relation c = |Li(m) e mod N, c etant un message 
chiffre, jx(m) etant le resultat de 1 1 etape de formatage, 
et e et N des elements de la premiere cl6, ou 
10 ~ si une signature du message clair (m) est 

souhaitee, une etape d 1 exponentiation du resultat de 
1' etape de formatage a l'aide d'une deuxieme cle (N 1 , d f ) 
selon la relation s = M-(tfi) d * mod N' , s etant un message 
signe, jt(m) <§tant le resultat de 1 ' etape de formatage, et 
15 d' et N' des £l£ments de la deuxieme cle. 

5. Systeme selon la revendication 3, dans lequel la 
premiere cle et la deuxieme cle sont respectivement une 
cle publique d'une premiere paire de cles et une cle 

20 privee d'une deuxieme paire de cles. 

6. Systeme selon la revendication 4, dans lequel la 
premiere paire de cle et la deuxieme paire de cles sont 
identiques . 

25 

7. Systeme selon I'une des revendi cations 4 a 6, de 
type RSA . 

8. Composant electronique comprenant des moyens 
30 programmes pour la mise en ceuvre d'un procede de 

chiffrement selon l'une des revendications 1 a 2, les 
moyens programmes comprenant notamment une unite central e 
et une memoire de programme. 

35 9 • Composant electronique comprenant des moyens 

programmes pour la mise en ceuvre d'un systeme 
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cryptographique selon I'une des revendications 4 a 7, les 
moyens programmes comprenant notamment une unite centrale 
et une memoire de programme. 

10. Carte a puce comprenant un CDiTTposaxiL 
electronigue selon la revendication 7 ou la revendication 
8. 
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